BDU:2015-09749 (CVE-2013-5211)

Уязвимость демона ntpd реализации протокола синхронизации времени NTP, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2015-04-28

Описание

Уязвимость демона ntpd реализации протокола синхронизации времени NTP связана с недостаточным контролем объема передаваемых сетевых сообщений. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании путем отправки специально созданных запросов REQ_MON_GETLIST или REQ_MON_GETLIST_1

Затрагиваемое ПО и версии

openSUSE (11.4)AIX (5.3)AIX (6.1)AIX (7.1)Oracle Linux (7)Oracle Linux (6)FortiAnalyzer (до 6.2.3 включительно)FortiAnalyzer (6.4.0)NTP (до 4.2.7p26)

Способ устранения

Использование рекомендаций:
Для NTP:
http://www.ntp.org/downloads.html
https://doc.ntp.org/downloads/

Для FortiAnalyzer:
https://www.fortiguard.com/psirt/FG-IR-20-036

Для продуктов Novell Inc.:
https://lists.opensuse.org/archives/list/updates@lists.opensuse.org/message/RJLJ3M5Z7GBR7PREOCKUZZUYTG3KBKHN/

Для Oracle Linux:
https://www.oracle.com/security-alerts/linuxbulletinjul2016.html

Для AIX:
http://aix.software.ibm.com/aix/efixes/security/ntp_advisory.asc

Оценка CVSS

Балл	5 — средняя опасность

Источники и патчи

https://www.fortiguard.com/psirt/FG-IR-20-036 https://indianrailways.gov.in/railwayboard/uploads/directorate/cis/advisories/290620-1.pdf https://lists.opensuse.org/archives/list/updates@lists.opensuse.org/message/RJLJ3M5Z7GBR7PREOCKUZZUYTG3KBKHN/https://www.oracle.com/security-alerts/linuxbulletinjul2016.html https://nvd.nist.gov/vuln/detail/cve-2013-5211 http://www.ntp.org/downloads.html https://doc.ntp.org/downloads/https://nvd.nist.gov/vuln/detail/cve-2013-5211

Проверьте безопасность своего сайта и почты → Полная проверка домена